Microsoft a confirmat că hackerii exploatează activ o vulnerabilitate zero-day în Outlook. Potrivit raportului, deficiența poate expune informații de autentificare Windows atunci când un utilizator deschide un fișier malițios. Acest tip de furt de hash-uri de autentificare prin vulnerabilitatea zero-day din Outlook merită luat în serios, deoarece datele furate pot deveni o rampă de lansare către probleme mult mai mari.

Detaliile publicate până acum sunt limitate, așa că acest articol se limitează la ceea ce a fost confirmat și adaugă context general despre modul în care funcționează furtul de credențiale. Acolo unde lipsesc detalii specifice, menționăm acest lucru.

Cum fură vulnerabilitatea zero-day din Outlook hash-urile Windows

Ce este confirmat: atacatorii exploatează o slăbiciune necorectată anterior în Outlook, iar declanșatorul este deschiderea unui fișier malițios de către un utilizator. Când se întâmplă acest lucru, informațiile de autentificare Windows pot fi expuse atacatorului.

O vulnerabilitate „zero-day" înseamnă pur și simplu că deficiența a fost folosită în atacuri înainte ca o corecție să fie disponibilă. „Exploatată" înseamnă că nu este o constatare teoretică de cercetare. Atacatori reali o folosesc acum.

Un hash de autentificare este o reprezentare codificată a unei parole sau a unei credențiale pe care Windows o folosește pentru a dovedi cine ești pe o rețea. În general, atacatorii care capturează un hash pot încerca să îl spargă offline pentru a recupera parola originală sau, în anumite configurări, să îl reutilizeze pentru autentificare fără a cunoaște vreodată parola. Articolul sursă nu precizează care dintre aceste căi este folosită de atacatori cu această deficiență specifică și nu vom face speculații.

Cine este expus și ce pot face atacatorii cu hash-urile furate

Pe baza detaliilor confirmate, oricine folosește Outlook pe Windows și ar putea fi păcălit să deschidă un fișier malițios este potențial expus. Organizațiile merită o atenție deosebită, deoarece credențialele unui singur angajat pot deschide uși către sisteme partajate, servere de fișiere și aplicații interne.

În termeni generali, materialul de credențiale furat poate duce la:

  • Preluarea contului dacă un hash este spart și parola este slabă sau reutilizată
  • Mișcare laterală în interiorul rețelei unei companii, unde un cont compromis este folosit pentru a ajunge la altele
  • Furtul de date din cutii poștale, partajări de fișiere și servicii cloud legate de aceeași identitate

Aceste consecințe sunt riscuri generale ale furtului de credențiale, nu rezultate confirmate ale acestei campanii particulare. Totuși, ele explică de ce o deficiență care „doar" scurge date de autentificare contează. Accesul furat este adesea primul pas înainte de furtul de date și extorcare. Pentru un exemplu recent despre cum datele furate se transformă în presiune asupra unei victime, vedeți articolul nostru despre cererea de răscumpărare de la Berlin după un atac cibernetic guvernamental.

Ce trebuie făcut acum: aplicați patch-ul, atenuați riscurile și verificați expunerea

Deoarece acest atac depinde de deschiderea unui fișier malițios de către un utilizator, apărarea dumneavoastră este o combinație de actualizări software și obiceiuri atente.

  1. Aplicați corecția sau atenuările Microsoft. Verificați îndrumările oficiale de securitate Microsoft pentru această vulnerabilitate din Outlook și instalați patch-ul de îndată ce este disponibil pentru versiunea dumneavoastră. Dacă sunt publicate doar atenuări, aplicați-le astăzi în loc să așteptați.
  2. Actualizați Windows și Office împreună. Rulați Windows Update și actualizările Microsoft 365 sau Office pentru a nu rata corecții conexe.
  3. Dezactivați comportamentul riscant de previzualizare. Acolo unde organizația dumneavoastră permite, dezactivați previzualizarea automată a atașamentelor și evitați deschiderea fișierelor de la expeditori pe care nu îi recunoașteți.
  4. Tratați atașamentele neașteptate ca ostile. Verificați cu expeditorul printr-un canal separat înainte de a deschide ceva neobișnuit, chiar dacă e-mailul pare intern.
  5. Activați autentificarea multi-factor (MFA). MFA nu va elimina deficiența, dar face credențialele furate mult mai greu de utilizat pe cont propriu.
  6. Schimbați parolele dacă suspectați expunerea. Dacă ați deschis un fișier suspect, schimbați-vă parola și anunțați imediat echipa IT sau de securitate pentru a putea verifica jurnalele pentru autentificări neobișnuite.

Administratorii IT ar trebui, de asemenea, să urmărească încercările neobișnuite de autentificare și conexiunile de ieșire neașteptate de la stațiile de lucru, deoarece acestea pot fi semne ale capturii de credențiale. Avizul oficial al Microsoft va conține lista autoritativă de indicatori și corecții.

De ce un VPN nu va opri acest atac

Cu atât de multe sfaturi despre confidențialitate centrate pe VPN-uri, merită să fim direcți: un VPN nu este o apărare împotriva acestei probleme. Un VPN criptează traficul dintre dispozitivul dumneavoastră și serverul VPN și vă maschează adresa IP. Nu vă împiedică să deschideți un fișier malițios și nu repară o vulnerabilitate din interiorul Outlook.

Acest atac funcționează la nivelul aplicației și al autentificării, pe propria dumneavoastră mașină. Corecțiile care contează aici sunt aplicarea patch-urilor, obiceiuri prudente privind e-mailurile și protecția puternică a contului, cum ar fi MFA. Un VPN poate fi în continuare util pentru alte obiective de confidențialitate, cum ar fi protejarea traficului pe Wi-Fi public, dar nu trebuie confundat cu protecția împotriva unei deficiențe ca aceasta.

Ce înseamnă acest lucru pentru dumneavoastră

Dacă folosiți Outlook pe Windows, presupuneți că aceasta este o amenințare activă, nu una viitoare. Riscul practic se reduce la un singur moment: deschiderea unui fișier pe care nu ar fi trebuit să îl deschideți. Încetiniți cu atașamentele neașteptate, mențineți software-ul actualizat și asigurați-vă că conturile dumneavoastră sunt protejate cu MFA, astfel încât o credențială scursă să nu fie suficientă pentru ca un atacator să intre.

Pentru companii, acesta este un memento să trateze furtul de credențiale ca pe o poartă către incidente mai mari. Aplicarea rapidă a patch-urilor și monitorizarea bună reduc fereastra de oportunitate a atacatorilor.

Concluzii cheie

  • Microsoft a confirmat exploatarea activă a unei vulnerabilități zero-day în Outlook care poate expune informații de autentificare Windows atunci când este deschis un fișier malițios.
  • Aplicați astăzi patch-ul sau atenuările publicate de Microsoft și actualizați Windows și Office.
  • Dezactivați funcțiile riscante de previzualizare acolo unde este posibil și verificați atașamentele neașteptate înainte de a le deschide.
  • Activați MFA pentru conturile de e-mail și de lucru și schimbați parolele dacă credeți că ați deschis ceva suspect.
  • Un VPN nu vă va proteja de furtul hash-urilor de autentificare prin vulnerabilitatea zero-day din Outlook. Aplicarea patch-urilor și igiena împotriva phishingului vă vor proteja.

Verificați-vă acum starea actualizărilor și distribuiți acest articol colegilor sau membrilor familiei care se bazează pe Outlook în fiecare zi.